Object Storage Service：跨帳號同地區複製

前提條件

• 已在帳號A下的某個地區建立Bucket A作為同地區複製的源Bucket，並記錄帳號A的UID、Bucket A的名稱及所在地區。

• 已在帳號B下的相同地區建立Bucket B作為同地區複製的目標Bucket，並記錄帳號B的UID、Bucket B的名稱。

角色授權

跨帳號複製任務涉及兩個不同帳號的Bucket，您需要按照以下說明完成RAM角色所需的信任策略和最小權限原則。

1. 通過帳號A完成以下操作。

   1. 建立普通服務角色。

      重要

      您可以選擇通過RAM使用者建立角色，RAM使用者必須擁有以下許可權：ram:CreateRole、ram:GetRole、ram:ListPoliciesForRole、ram:AttachPolicyToRole。但是考慮到授予RAM使用者ram:CreateRole、ram:GetRole等角色相關的許可權風險較大，您可以通過RAM使用者關聯的阿里雲帳號建立RAM角色並為相應的RAM角色完成授權。授權完成後，RAM使用者可以直接複用阿里雲帳號建立的RAM角色。

      建立角色過程中，需選擇可信實體類型為阿里雲服務，角色類型選擇普通服務角色，受信服務選擇Object Storage Service。具體步驟，請參見建立普通服務角色。

      說明

      角色建立成功後，請記錄基本資料地區的RAM角色ARN，以便後續添加許可權時使用。

   2. 為角色授予源Bucket執行跨地區複製的許可權。

      您可以選擇以下任意方式為角色授權。

      為RAM角色授予系統策略

      警告

      您可以選擇為RAM角色授予系統策略AliyunOSSFullAccess。AliyunOSSFullAccess預設擁有當前帳號下所有Bucket的所有操作許可權，請謹慎使用。

      為RAM角色授予自訂策略

      通過RAM Policy的方式對RAM角色授予源Bucket（src-bucket）複製所需的最小許可權。

      說明

      實際使用時，請相應替換源Bucket名稱。

      {
         "Version":"1",
         "Statement":[
            {
               "Effect":"Allow",
               "Action":[
                  "oss:ReplicateList",
                  "oss:ReplicateGet"
               ],
               "Resource":[
                  "acs:oss:*:*:src-bucket",          	
                  "acs:oss:*:*:src-bucket/*"
               ]
            }
         ]
      }

      如果您希望將KMS加密的Object複製到目標Bucket，您還需要為角色授予AliyunKMSFullAccess系統策略。具體步驟，請參見為RAM角色授權。

2. 通過帳號B授予角色在目標Bucket接收複製對象的許可權。

   （推薦）方式一：按圖形策略添加

   1. 登入OSS管理主控台。

   2. 在左側導覽列，單擊Bucket 列表，然後單擊目標bucket名稱dest-bucket。

   3. 在左側導覽列，選擇許可權控制 > Bucket 授權策略。

   4. 在Bucket 授權策略頁面的按圖形策略添加頁簽，單擊接收複製對象。

   5. 在接收複製對象面板，UID及RAM角色擷取方式選中從源端複製RAM角色ARN擷取，源端複製RAM角色ARN選擇步驟1建立的角色ARN。

   6. 單擊產生 Policy。

   方式二：按文法策略添加

   1. 在左側導覽列，選擇許可權控制>Bucket 授權策略。

   2. 在Bucket 授權策略頁面的按文法策略添加頁簽，單擊編輯。

   3. 在文法策略輸入框中，輸入以下Bucket Policy。

      重要

      • 通過Bucket Policy按文法策略的方式進行授權時，新添加的策略會覆蓋已有的策略，請確保新添加策略包含已有策略的內容，否則可能導致關聯已有策略的操作失敗。

      • 實際使用時，請相應替換自訂角色名稱（如果自訂角色名稱包含大寫字母，需轉換為對應的小寫字母。例如已建立的角色名稱為AliyunOssDrsRole，您需要轉換為aliyunossdrsrole）、目標Bucket名稱（dest-bucket）、源Bucket所屬帳號UID（137918634953xxxx）以及目標Bucket所屬帳號UID（111933544165xxxx）。UID必須填寫阿里雲帳號UID。

      {
         "Version":"1",
         "Statement":[
            {
              "Effect":"Allow",
              "Action":[
                  "oss:ReplicateList",
                  "oss:ReplicateGet",
                  "oss:ReplicatePut",
                  "oss:ReplicateDelete"			
               ],
              "Principal": [
                  "arn:sts::137918634953xxxx:assumed-role/aliyunossdrsrole/*"		 
      		 ],
               "Resource":[
                  "acs:oss:*:111933544165xxxx:dest-bucket",          	
                  "acs:oss:*:111933544165xxxx:dest-bucket/*"
               ]
            }
         ]
      }

   4. 單擊儲存。

複製KMS加密的Object

如果您希望將帳號A下源Bucket中KMS加密的Object複製到帳號B下的目標Bucket，您需要使用目標Bucket所屬帳號B執行以下步驟。

1. 登入Key Management Service控制台的執行個體管理頁面，在與目標Bucket相同的地區購買並啟用KMS執行個體。購買KMS執行個體時，確保訪問管理數量大於等於2，其他參數保留預設配置。具體步驟，請參見購買和啟用KMS執行個體。

   說明

   跨帳號複製KMS加密的Object依賴於Key Management Service，支援的地區受限於Key Management Service。關於Key Management Service支援的地區，請參見軟體密鑰管理支援的地區和接入地址。

2. 在KMS執行個體下建立密鑰。密鑰類型限制為非預設密鑰（建議軟體密鑰）。具體步驟，請參見建立軟體密鑰。

   說明

   密鑰建立成功後，請記錄基本資料地區的密鑰ARN，以便後續建立複製規則時使用。

3. 為建立的密鑰設定密鑰策略。設定密鑰策略時，選擇其他帳號使用者，並將其他帳號使用者指定為上述步驟建立的角色ARN。具體步驟，請參見設定密鑰策略。

   重要

   跨帳號複製KMS加密資料要求密鑰策略至少包含解密（kms:Decrypt）和產生資料密鑰（kms:GenerateDataKey）的許可權。通過控制台設定密鑰策略時，預設包含這些許可權。如果通過OpenAPI設定自訂密鑰策略，需要確保至少包含kms:Decrypt和kms:GenerateDataKey許可權。

操作步驟

import com.aliyun.oss.ClientException;
import com.aliyun.oss.OSS;
import com.aliyun.oss.common.auth.*;
import com.aliyun.oss.OSSClientBuilder;
import com.aliyun.oss.OSSException;
import com.aliyun.oss.model.AddBucketReplicationRequest;

public class Demo {

    public static void main(String[] args) throws Exception {
        // Endpoint以華東1（杭州）為例，其它Region請按實際情況填寫。
        String endpoint = "https://oss-cn-hangzhou.aliyuncs.com";
        // 強烈建議不要把訪問憑證儲存到工程代碼裡，否則可能導致訪問憑證泄露，威脅您帳號下所有資源的安全。本程式碼範例以從環境變數中擷取訪問憑證為例。運行本程式碼範例之前，請先配置環境變數。
        EnvironmentVariableCredentialsProvider credentialsProvider = CredentialsProviderFactory.newEnvironmentVariableCredentialsProvider();
        // 填寫源Bucket名稱，例如src-bucket。
        String bucketName = "src-bucket";
        // 指定資料要複製到的目標Bucket，目標Bucket與源Bucket必須屬於不同帳號。
        String targetBucketName = "dest-bucket";
        // 指定目標Bucket所在地區。目標Bucket與源Bucket必須處於相同地區。
        String targetBucketLocation = "oss-cn-hangzhou";

        // 建立OSSClient執行個體。
        OSS ossClient = new OSSClientBuilder().build(endpoint, credentialsProvider);

        try {
            AddBucketReplicationRequest request = new AddBucketReplicationRequest(bucketName);

            request.setTargetBucketName(targetBucketName);
            request.setTargetBucketLocation(targetBucketLocation);
            // 預設複製歷史資料。此處設定為false，表示禁止複製歷史資料。
            request.setEnableHistoricalObjectReplication(false);
            // 指定授權OSS進行資料複製的角色名稱，且該角色必須已被授予源Bucket執行同地區複製以及目標Bucket接收複製對象的許可權。
            request.setSyncRole("yourRole");           
            //List prefixes = new ArrayList();
            //prefixes.add("image/");
            //prefixes.add("video");
            //prefixes.add("a");
            //prefixes.add("A");
            // 指定待覆制Object的首碼Prefix。指定Prefix後，只有匹配該Prefix的Object才會複製到目標Bucket。
            //request.setObjectPrefixList(prefixes);
            //List actions = new ArrayList();
            //actions.add(AddBucketReplicationRequest.ReplicationAction.PUT);
            // 將源Bucket內Object的新增、更新操作複製到目標Bucket。
            //request.setReplicationActionList(actions);
            ossClient.addBucketReplication(request);
        } catch (OSSException oe) {
            System.out.println("Caught an OSSException, which means your request made it to OSS, "
                    + "but was rejected with an error response for some reason.");
            System.out.println("Error Message:" + oe.getErrorMessage());
            System.out.println("Error Code:" + oe.getErrorCode());
            System.out.println("Request ID:" + oe.getRequestId());
            System.out.println("Host ID:" + oe.getHostId());
        } catch (ClientException ce) {
            System.out.println("Caught an ClientException, which means the client encountered "
                    + "a serious internal problem while trying to communicate with OSS, "
                    + "such as not being able to access the network.");
            System.out.println("Error Message:" + ce.getMessage());
        } finally {
            if (ossClient != null) {
                ossClient.shutdown();
            }
        }
    }
}        

# -*- coding: utf-8 -*-
import oss2
from oss2.credentials import EnvironmentVariableCredentialsProvider
from oss2.models import ReplicationRule
# 從環境變數中擷取訪問憑證。運行本程式碼範例之前，請確保已設定環境變數OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET。
auth = oss2.ProviderAuth(EnvironmentVariableCredentialsProvider())
# 填寫源Bucket所在地區對應的Endpoint。以華東1（杭州）為例，Endpoint填寫為https://oss-cn-hangzhou.aliyuncs.com。
# 填寫源Bucket名稱，例如src-bucket。
bucket = oss2.Bucket(auth, 'https://oss-cn-hangzhou.aliyuncs.com', 'src-bucket')
replica_config = ReplicationRule(
    # 指定資料要複製到的目標Bucket。目標Bucket與源Bucket必須屬於不同帳號。
    target_bucket_name='dest-bucket',
    # 指定目標Bucket所在地區。目標Bucket與源Bucket必須處於相同地區。
    target_bucket_location='oss-cn-hangzhou',
    # 指定授權OSS進行資料複製的角色名稱，且該角色必須已被授予源Bucket執行同地區複製以及目標Bucket接收複製對象的許可權。
    sync_role_name='yourRole',
)

# 指定待覆制Object的首碼Prefix。指定Prefix後，只有匹配該Prefix的Object才會複製到目標Bucket。
# prefix_list = ['prefix1', 'prefix2']
# 設定資料複製規則。
# replica_config = ReplicationRule(
     # prefix_list=prefix_list,
     # 將源Bucket內Object的新增、更新操作複製到目標Bucket。
     # action_list=[ReplicationRule.PUT],
     # 指定資料要複製到的目標Bucket。目標Bucket與源Bucket必須屬於不同帳號。
     # target_bucket_name='dest-bucket',
     # 指定目標Bucket所在地區。目標Bucket與源Bucket必須處於不同地區。
     # target_bucket_location='oss-cn-hangzhou',
     # 預設複製歷史資料。此處設定為False，表示禁止複製歷史資料。
     # is_enable_historical_object_replication=False,      
  #)

# 開啟資料複製。
bucket.put_bucket_replication(replica_config)

package main

import (
    "encoding/xml"
    "fmt"
    "github.com/aliyun/aliyun-oss-go-sdk/oss"
    "os"
)

func HandleError(err error) {
    fmt.Println("Error:", err)
    os.Exit(-1)
}

// 開啟資料複製。
func main() {
    // 從環境變數中擷取訪問憑證。運行本程式碼範例之前，請確保已設定環境變數OSS_ACCESS_KEY_ID和OSS_ACCESS_KEY_SECRET。
    provider, err := oss.NewEnvironmentVariableCredentialsProvider()
    if err != nil {
    fmt.Println("Error:", err)
    os.Exit(-1)
    }
    // 建立OSSClient執行個體。
    // yourEndpoint填寫Bucket對應的Endpoint，以華東1（杭州）為例，填寫為https://oss-cn-hangzhou.aliyuncs.com。其它Region請按實際情況填寫。
    client, err := oss.New("yourEndpoint", "", "", oss.SetCredentialsProvider(&provider))
    if err != nil {
    fmt.Println("Error:", err)
    os.Exit(-1)
    }
    // 指定源Bucket名稱。
    srcbucketName := "yourSrcBucket"
    // 指定資料要複製到的目標Bucket。目標Bucket與源Bucket必須屬於不同帳號。
    destBucketName := "yourDestBucket"
    // 指定待覆制Object的首碼prefix_1和prefix_2。指定Prefix後，只有匹配該Prefix的Object才會複製到目標Bucket。
    // 如果您需要將源Bucket中的所有Object複製到目標Bucket，則無需設定Prefix。
    prefix1 := "prefix_1"
    prefix2 := "prefix_2"    
    prefixSet := oss.ReplicationRulePrefix{Prefix: []*string{&prefix1, &prefix2}}
    
    reqReplication := oss.PutBucketReplication{
    Rule: []oss.ReplicationRule{
    {
    PrefixSet: &prefixSet,
    //將源Bucket內Object的新增、更新操作複製到目標Bucket。
    Action: "PUT",    
    Destination: &oss.ReplicationRuleDestination{
    Bucket: destBucketName,
    // 指定目標Bucket所在地區。源Bucket與目標Bucket必須處於相同的地區。    
    Location: "oss-cn-hangzhou",    
    },
    // 預設複製歷史資料。此處設定為disabled，表示禁止複製歷史資料。
    HistoricalObjectReplication: "disabled",
    // 指定授權OSS進行資料複製的角色名稱，且該角色必須已被授予源Bucket執行跨地區複製以及目標Bucket接收複製對象的許可權。
    SyncRole:                    "yourRole",    
    },
    },
    }

    xmlBody, err := xml.Marshal(reqReplication)
    if err != nil {
    HandleError(err)
    }
    err = client.PutBucketReplication(srcbucketName, string(xmlBody))

    if err != nil {
    HandleError(err)
    }

    fmt.Println("Put Bucket Replication Success!")
}

相關文檔

• 同地區複製概述

• 同帳號同地區複製

• 特殊情境下的複製行為

• 資料複製常見問題